Cloudflare Zero Trust 访问

Q: 什么是Cloudflare Zero Trust 访问？它解决什么问题？

用基于身份的内部应用访问替代 VPN — SSO、设备状态和按应用策略。 它可帮助开发者在不自建基础设施的前提下完成部署、存储与扩展，是云服务选型的核心参考。

Q: Cloudflare Zero Trust 访问 的最佳实践有哪些？

Cloudflare Zero Trust 访问 的最佳实践包括：敏感应用要求 MFA — Access 支持 TOTP、WebAuthn、Duo；管理应用用短会话（1-4 小时）— 限制被盗会话损害；结合 Tunnel — 源永不暴露互联网，双重防护。其中首条「敏感应用要求 MFA — Access 支持 TOTP、WebAuthn、Duo」应作为团队默认规范写入 IaC 模板。

用基于身份的内部应用访问替代 VPN — SSO、设备状态和按应用策略。

Cloudflare高级

为什么

Zero Trust Access 对每个请求针对 IdP（Google、Okta、GitHub）认证 — 无 VPN、无网络访问，仅应用级认证。50 用户免费。消除 VPN 工单和横向移动风险。

何时使用

用于内部仪表盘、管理面板、预发布环境和 SSH/DB 访问。避免已有自身认证的公开应用（冗余）或消费者应用。

如何做

1. 启用 Zero Trust — dash.cloudflare.com → Zero Trust（免费 50 用户） 2. 加 IdP — Settings → Authentication → Google/Okta/GitHub SSO 3. 创建应用 — Access → Applications → Self-hosted，设域名 4. 策略 — 按邮箱/域/组允许，要求 MFA、设备状态 5. 隧道 — 通过 cloudflared tunnel 连接源（无公网 IP） 6. 测试 — 访问应用 URL，重定向到 IdP 登录，然后应用 7. SSH/DB — 用 cloudflared access 短期证书

示例

# Access 策略（Terraform）— 允许工程团队访问 Grafana resource "cloudflare_access_application" "grafana" { zone_id = var.zone_id name = "Grafana" domain = "grafana.internal.example.com" type = "self_hosted" session_duration = "24h" } resource "cloudflare_access_policy" "eng_only" { application_id = cloudflare_access_application.grafana.id zone_id = var.zone_id name = "仅工程" decision = "allow" include { email_domain = ["example.com"] group = [cloudflare_access_group.engineering.id] } require { mfa = ["non_interactive"] } } # 通过 Access SSH — 短期证书 cloudflared access ssh --hostname ssh.internal.example.com

常见问题

⚠IdP 同步延迟 — 组成员变更需分钟传播，提前规划
⚠会话太长 — 24 小时会话意味着撤销用户仍可访问，敏感应用用 1-4 小时
⚠设备状态未强制 — 需 WARP 客户端，无则跳过状态检查

最佳实践

✓敏感应用要求 MFA — Access 支持 TOTP、WebAuthn、Duo
✓管理应用用短会话（1-4 小时）— 限制被盗会话损害
✓结合 Tunnel — 源永不暴露互联网，双重防护

常见问题解答

什么是Cloudflare Zero Trust 访问？它解决什么问题？

用基于身份的内部应用访问替代 VPN — SSO、设备状态和按应用策略。它可帮助开发者在不自建基础设施的前提下完成部署、存储与扩展，是云服务选型的核心参考。

如何在 5 分钟内上手Cloudflare Zero Trust 访问？

两步即可跑通：① 启用 Zero Trust — dash.cloudflare.com → Zero Trust（免费 50 用户）；② 加 IdP — Settings → Authentication → Google/Okta/GitHub SSO。建议先用免费套餐验证流程，再接入生产环境。